Das Spear-Phishing, mit dem Mustang Panda seine Ziele anging, reichte von halbwegs überzeugend bis vollkommen einfallslos. Die an indische Ziele gerichteten Nachrichten gaben sich offenbar als gewöhnliche IT-Helpdesk-Anfragen aus. Einblick in die tatsächlich versendeten E-Mails oder Textnachrichten hatten die Forscher allerdings nicht.
Bei der Untersuchung der Angriffe in Indien stießen die Forscher zudem auf ein Google-Konto, das den US-Politikwissenschaftler Victor Cha imitierte. Cha war in der Regierung von George W. Bush Direktor für asiatische Angelegenheiten im Nationalen Sicherheitsrat (NSC) und gilt weiterhin als einflussreiche Stimme zu Nord- und Südkorea sowie zur Sicherheit im indopazifischen Raum. Die Angreifer nutzten ein Porträtfoto Chas und eine plump gefälschte E-Mail-Adresse, um Personen aus dem diplomatischen Umfeld und den Politikkreisen rund um die Beziehungen zwischen den USA und Korea anzusprechen.
In allen Fällen wurden die Opfer dazu gebracht, eine schädliche Datei zu öffnen. Das Anzeigen der Datei löste einen für chinesische Akteure typischen Angriff per DLL-Sideloading aus. Nachdem über die Windows-Registry Persistenz hergestellt war, wurde eine Variante von LotusLite nachgeladen — eine Backdoor, die dieses spezielle Teilcluster innerhalb von Mustang Panda entwickelt und pflegt. Damit lassen sich Shells öffnen, Dateien abrufen und weitere Fernzugriffe zu Spionagezwecken ausführen.
Die neue LotusLite-Variante wies nur geringfügige Änderungen auf, um Erkennungswerkzeuge etwas leichter zu umgehen. Oberflächlich war sie als legitime Bankensoftware der Zielregion getarnt: In einem Pop-up-Fenster und einer internen Code-Funktion verwendete das Programm den Namen „HDFC Bank", die größte Privatbank Indiens. Offenbar erhielten auch die koreanischen und amerikanischen Ziele diese vordergründig auf Indien ausgerichtete Schadsoftware.
Mustang Pandas Handwerk sei zwar abgenutzt, aber damit nicht allein, sagt Santiago Pontiroli, Teamleiter der Acronis Threat Research Unit (TRU): „Ein erheblicher Teil staatlicher Aktivität stützt sich auf einfache, gut verstandene Techniken, die diszipliniert ausgeführt werden." Organisationen, die sich nur auf hochentwickelte oder neuartige Bedrohungen konzentrierten, setzten sich genau solchen Kampagnen aus. Die scheinbare Bequemlichkeit der Gruppe sei nachvollziehbar: Auch in Umgebungen mit formalen Sicherheitsprogrammen blieben solche Techniken wirksam, weil grundlegende Kontrollen oft uneinheitlich umgesetzt seien. Die meisten Organisationen täten sich weiterhin mit den Grundlagen schwer — etwa der Sichtbarkeit von Endpunktaktivität, der Überwachung nicht signierter oder fehlerhaft geladener DLLs und dem Erkennen des Missbrauchs legitimer signierter Programme.
Der Verzicht auf aufwendige neue Werkzeuge spare nicht nur Zeit, sondern verschaffe langfristig Flexibilität, erklärt Pontiroli: „Es senkt den Entwicklungsaufwand und hält das Werkzeug austauschbar. Wird eine Kampagne enttarnt, können sie kleinere Indikatoren austauschen, den Köder wechseln und schnell erneut zuschlagen. Sie investieren nicht in Raffinesse, weil sie es nicht müssen."
Auch die Angriffe auf Indiens Finanzsektor dienten mit hoher Wahrscheinlichkeit der Informationsbeschaffung, nicht finanziellem Gewinn. Bei LotusLite habe man keine für Banking-Malware typischen Funktionen wie das Abgreifen von Zugangsdaten oder das Abfangen von Zahlungen beobachtet, so Pontiroli. Die Frage sei daher nicht, warum eine Bank zum Diebstahl angegriffen werde, sondern warum zu Spionagezwecken. Institute wie die HDFC Bank lägen an der Schnittstelle mehrerer strategischer Interessen: Finanzinstitute hätten Einblick in grenzüberschreitende Transaktionen, staatsnahe Konten, Infrastrukturfinanzierung und Handelsströme. Solche Daten lieferten Aufschluss über Kapitalbewegungen, wirtschaftliche Beziehungen und die innenpolitische Ausrichtung — und könnten zugleich umfassendere Aufklärungsziele wie die Kartierung kritischer Infrastruktur unterstützen.